IT-avdelningen öppnar bara de mail som har virus och som därmed är av intresse. Alla annan kommunikation slängs.

Det vet vi ju från FRA-debatten.

Då är jag betydligt mer bekymrad över myndigheter som har direkt undermåligt säkerhetsarbete. Se till exempel Riksrevisionens granskningar: http://www.riksrevisionen.se/templib/pages/NewsPage____1084.aspx

Nixons senaste bloggpost: Sidan 56, mening 5

Icke desto mindre är en SSL-proxy en dålig idé. Om det är som Lage Rahm skrev att den godkänner alla SSL-förbindelser utan att verifiera certifikaten så är det ett katastrofalt säkerhetshål. Om den blockerar alla förbindelser som har något problem med certifikatet så är det inte heller bra. En router ska inte fatta sådana beslut.

När man har hundratals schweizerostar till datorer att hålla reda på så kan det vara frestande att försöka lösa alla säkerhetsproblem i en och samma burk. Då blir det en sådan här apparat som (troligen) låtsas vara en router som bara ska vidarebefordra datapaket på en låg nivå, men som tar till allehanda lögner och fula trick för att kunna inspektera trafiken på en högre nivå. “Layer violation” är den engelska tekniska termen för när man försöker göra saker på fel protokollnivå – fel plats i nätverket – och det brukar alltid orsaka problem.

“SixDays”: En SSH-tunnel är en möjlig lösning om brandväggen släpper fram SSH. Frågan är om brandväggen blockerar all trafik utom vissa protokoll som den känner till och kan inspektera, eller om den släpper fram all trafik oförstörd utom vissa protokoll som den inspekterar.

Riksdagen är egentligen inte en “myndighet” i ordets rätta bemärkelse (även om den i praktiken ofta behandlas som en sådan), och de förtroendevalda ledamöterna är definitivt inte tjänstemän. Jag är tjänsteman vid Uppsala universitet, och när du skriver till mig i tjänsten, så blir det brevet allmän handling. Om du däremot skickar ett brev till mig som privatperson och däri inte nämner någonting om mitt arbete, så blir det inte allmän handling, oavsett vilken adress (bostaden eller arbetsplatsen) som står på kuvertet. Samma sak gäller om jag är fackligt eller politiskt förtroendevald att företräda exempelvis dig; du skall då kunna korrespondera med mig utan att den korrespondensen blir allmän handling.

Inom riksdagen finns såväl förtroendevalda ledamöter som anställda tjänstemän. För de senares korrespondens (i tjänsten) gäller att den blir allmän handling, men ledamöternas korrespondens med partivänner och väljare blir det inte, åtminstone inte som jag tolkar 2 kap. 4 § TF. Det räcker alltså inte med att titta på domänen; du måste se efter vilken person som adressen avser, och i slutändan är det brevets innehåll som avgör saken.

En sak som jag misstänker att juristerna inte har diskuterat än är huruvida IT-avdelningens scanning av ledamöternas e-post medför att den blir allmän handling. IT-avdelningen öppnar ju de facto e-posten och tar del av innehållet i syfte att ändra i det (alternativt stoppa hela försändelsen). Därmed anser jag att brevet har inkommit till IT-avdelningen, och IT-avdelningen (liksom hela riksdagskansliet) utövar en myndighetsroll, nämligen att betjäna landets lagstiftande församling. Nu lär IT-avdelningen hävda att korrespondensen i så fall skyddas av sekretess (jag skulle peka på 12 kap. 7 § sekretesslagen även om den bara gäller telefonsamtal), men partikanslierna borde oroas redan av att IT-avdelningen ens skulle komma på tanken att sekretesspröva deras interna diskussioner om ny partiledare eller strategier inför nästa riksdagsval.

På samma sätt menar jag att mina telefonsamtal också blir allmän handling den dag min teleoperatör överlämnar dem till någon myndighet, alltså senast den 1 oktober 2009. Det tänker jag försöka utnyttja på något sätt.

Viruskontroll, spamfiltrering och liknande som en IT-avdelning eller en ISP utför åt användarna är av godo när den sker med användarnas medgivande. Det räcker inte att användarna är medvetna om att den sker; de skall också ha möjlighet att tacka nej till den, för annars bygger vi successivt upp IT-miljöer där sådan scanning är obligatorisk.

Som flera har påpekat så borde inte den här scanningen av krypterade förbindelser vara möjlig att göra om alla säkerhetskontroller utfördes korrekt i varje ända av nätet. Problemet är att de nödvändiga säkerhetskontrollerna inte utförs idag; man nöjer sig ofta med halvmesyrer som “titta på domänadressen och se om den ser riktig ut”. Det räcker kanske i en “snäll” miljö, där endast ett fåtal individer i främmande länder försöker lura och bedra andra med falska webbsidor och certifikat. Det räcker inte när man riskerar att bli bedragen av sin egen IT-avdelning, och det är i praktiken vad som händer här.

Om en grupp människor som förväntas samarbeta inbördes sätter i system att ljuga för varandra, då bryter samarbetet förr eller senare ihop, hur “gott” syftet med lögnerna än är. En bidragande orsak till att Sovjetunionen föll samman sägs ha varit att merparten av alla produktionsansvariga regelmässigt fuskade med statistiken, så att de såg ut att ha uppfyllt produktionsmålen. De slutade producera traktorer och började i stället producera lögner, varpå de fick både medalj och mera pengar så att de kunder producera ännu fler lögner.

Riksdagens IT-avdelning ljuger för ledamöternas datorer, och därmed indirekt också för ledamöterna själva. Datorn säger att förbindelsen med omvärlden är krypterad och därmed “säker”, men detta är en lögn fabricerad av IT-avdelningen med det goda syftet att utföra en annan säkerhetsåtgärd än den som ledamotens dator talar om.

Det är som att dyrka upp låset till ledamotens tjänstebostad (som ledamoten tror sig vara ensam om att ha nyckel till) för att kontrollera att ingen obehörig har varit där och stökat till…

Syftet kvittar. Det är själva metoden som är förkastlig, eftersom den baseras på ett tekniskt bedrägeri. En konsekvens av att använda denna metod är att det blir omöjligt för ledamoten att någon gång i framtiden aktivera den egentliga säkerhetskontrollen i klientdatorn, för med den blir hela Internet plötsligt oåtkomligt.

På det viset cementerar man missuppfattningar om datasäkerhet, liksom man cementerar bristfällig datasäkerhet. Det är som när antivirusprogrammen var nya, och kanske förhindrade mer än de borde. En och annan programleverantör såg sig nödgad att meddela “du måste stänga av viruskontrollen innan du installerar det här programmet”. En krönikör på tidskriften Datateknik kommenterade: Det är ungefär som om grönsakshandlaren skulle säga “du får inte tvätta de här tomaterna innan du äter dem”.

Måste riksdagens IT-avdelning därför tillåta datavirus och allsköns oknytt att härja fritt på ledamöternas datorer samt på de gemensamma servrarna? Givetvis inte. Det är en medborgerlig rättighet att kandidera till riksdagen, men även om man blir vald så har man ingen självklar rätt att ansluta sin privata dator till riksdagens interna nät utan vare sig viruskontroll eller portfiltrering. Det är en ordningsfråga, precis som det inte är tillåtet för någon centerledamot att gå direkt från ladugårdsbacken till riksdagens plenisal med kogödsel på stövlarna.

Det senare problemet får dock lösas på annat sätt än att riksdagens säkerhetsavdelning söver ned alla ledamöter och byter skor på dem i smyg, utan att de märker något.

“skickas alltså in i okrypterad klartext i en svart låda, som vi egentligen inte vet mer om än att den påstås söka efter oegentligheter och är tillverkad av främmande makt.”

Det skulle vara interessant att få reda på om det är riksdagens IT avdelning som självsvådligt placerar ut dom svarta lådorna , eller är det den myndighet som har ansvaret för landets datasäkerhet (KBM) som ligger bakom utan att informera berörda riksdagsledamöter?

Sjöholms senaste bloggpost: Geopolitik of the weak -The 51th state

Kålans senaste bloggpost: Riksdagen vårt största hot mot demokratin